Ограничивается ли защита персональных данных только закупкой и установкой сертифицированных СЗИ?

   На днях вернулся из Калининграда. Удалось пообщаться с директором Калининградского ГНИЦ ИиТБ. Как оказалось, это единственная организация на территории Калининградской области (по словам директора), которая реально выполняет работы по защите ПДн в области. По словам директора приведение в соответствие требованиям 152 ФЗ одного муниципального образования составляет 70 тыс.руб. И это с закупкой и установкой СЗИ!!! У меня нет комментариев...
   Конечно у меня нет информации, что реально получает на выходе заказчик за эти деньги кроме аттестованного автоматизированного рабочего места, но полноценный проект по приведению в соответствие требованиям законодательтва по ПДн включает ряд этапов по описанию и регламентации процессов обработки ПДн, работы по оптимизации этих процессов, выявление актуальных угроз для конкретной ИСПДн, а не копирование базовой модели угроз, разработку полного комплекта документов (включая проектную) и ряд других интеллектуальноемких и достаточно дорогостоящих этапов. Все эти этапы необходимо выполнить перед тем как принимать решение по количеству и составу СЗИ и необходимости проведения аттестации. Я конечно не исключаю, что многие организации занимаются благотворительностью, но в это очень тяжело верится...

Спрос порождает предложение или откуда на рынке появилось так много защитников персональных данных?

  Такого бурного роста числа компаний резко переквалифицировавшихся из одного рода деятельности в другой и/или расширивших спектр своих услуг не наблюдалось достаточно давно. Ажиотаж, который сейчас творится вокруг проблемы защиты персональных данных способствует этому. Откуда у компаний никогда серьезно не занимавшихся защитой персональных данных резко (я бы даже сказал мгновенно) появляются соответствующие компетенции? И все бы ничего, но в заявлениях маркетинговых служб этих компаний столько недочетов, что начинаешь сомневаться в их (имеется в виду компаний) компетентности. Например, цитата из релиза, опубликованного в http://erpnews.ru/doc4291.html «Известно, что с начала 2010 года все компании, работающие с персональными данными, должны защитить свои информационные системы по обработке персональных данных и пройти аттестацию этих систем в соответствии с Федеральным законом № 152». Где это интересно в 152 ФЗ написано, что компании должны проводиться аттестацию систем? В большинстве случае эту процедуру (аттестацию) проходить и не потребуется. Сначала необходимо оптимизировать систему, смоделировать угрозы и построить модель угроз, а потом при наличии актуальных угроз утечки информации по ПЭМИН принимается решение об аттестации. Аттестация, это 25-й вопрос, до которого еще компании дожить надо.
  Конечно, можно все списать на отсутствие соответствующих знаний в области ИБ у маркетологов, но прежде чем выпускать релиз в свет имеет смысл дать его вычитать специалистам на предмет явных косяков…